# 접근 정책

Canonical: https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/access-control/access-policy/

Language: ko-KR

Updated: 2026-11-15T04:12:26.797599Z

Ping64에서 접근 그룹은 제로 트러스트 노드와 네트워크 리소스를 묶어 접근 정책, 경로 등에서 참조합니다. 접근 정책은 어떤 소스가 어떤 대상에 접근하도록 허용하거나 거부할지와 프로토콜, 방향, 포트를 지정합니다. 그룹 생성만으로 접근 권한이 부여되지는 않습니다. 정책 저장 또한 모든 노드가 구성을 수신했거나 대상 서비스에 접근할 수 있음을 뜻하지 않습니다.

이 장에서는 출발지, 대상, 프로토콜, 방향 및 동작을 포함한 접근 정책의 구성과 검증을 설명합니다. 정책을 변경하기 전에 다른 정책과 경로가 접근 결과에 미치는 영향을 평가하십시오.

## 준비

-   제로 트러스트 접근 그룹과 정책 관리 권한이 있는 관리자 계정을 사용합니다. 참여 노드의 제로 트러스트 연결과 필요한 네트워크 리소스의 준비 상태를 확인합니다.
-   허용 또는 제한할 소스, 대상, 업무 프로토콜과 포트, 역방향 접근의 필요성을 정합니다. 업무에 필요한 최소 범위를 선택하고 허용 대상과 비대상 시험 개체를 준비합니다.
-   기존 정책, 경로 및 그룹 참조를 확인합니다. 여러 구성이 하나의 경로에 영향을 줄 수 있으므로 새 정책 하나만으로 최종 결과를 판단하지 않습니다.
-   내부 서비스 접근 시 라우팅 노드의 도달성과 전달 조건, 대상 서비스, 방화벽 및 반환 경로를 확인합니다. [제로 트러스트 네트워크 경로 구성](https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/network-resources/network-routes/)을 참조하십시오.

**포트 구성 제한:** 하나의 정책 규칙에는 여러 개별 포트 또는 하나 이상의 포트 범위를 지정할 수 있지만, 개별 포트와 범위를 같은 규칙에 혼합하지 마십시오. 예를 들어 `443`과 `8000-8080`을 한 규칙에 함께 입력하면 화면이 입력을 받아도 저장이 실패할 수 있습니다. 둘 다 필요하면 별도 정책을 검토하고 각각의 출발지, 대상, 동작, 보안 검사를 확인한 뒤 시험 환경에서 결합 효과를 검증하십시오. `*`도 다른 포트와 혼합하지 마십시오.

## 접근 정책 생성

1.  Zero Trust 접근 제어에서 「Policies」를 엽니다. 목록에 정책이 있으면 「Create」를, 비어 있으면 「Create Policy」를 선택하고 정책 이름과 필요한 설명을 입력합니다.
2.  `ALL`, `TCP`, `UDP`, `ICMP` 중 프로토콜을 선택하고 필요에 따라 「Accept」 또는 「Drop」을 선택합니다. 보안 검사를 사용하려면 검사 내용, 적용 대상과 조직 요구를 먼저 확인합니다.
3.  「Sources」에서 접근 그룹 또는 특정 노드를, 「Destinations」에서 접근 그룹, 노드 또는 네트워크 리소스를 선택합니다. 선택한 유형에 맞는 개체를 지정하고 의도한 소스와 대상인지 확인합니다.
4.  「Direction」을 확인합니다. 페이지는 소스에서 대상으로 또는 양방향을 제공합니다. 대상이 네트워크 리소스이면 방향 전환이 불가능하므로 표시된 방향을 따르고 역방향 권한을 가정하지 않습니다.
5.  `TCP` 또는 `UDP`는 필요한 포트를 설정합니다. 비워두면 모든 포트입니다. 단일 포트, 유효한 범위 또는 `*`를 입력할 수 있으며 `443`, `8000-8080` 등이 예입니다. 안내에 따라 입력을 확정하고 값은 `1`~`65535`로 지정합니다.
6.  저장 후 목록에서 이름, 소스, 대상, 프로토콜, 방향, 동작과 활성 상태를 확인합니다. 노드가 구성을 받은 뒤 허용 대상과 비대상을 각각 시험하고 다른 관련 정책도 확인합니다.

예를 들어 개발 시험 노드를 개발 그룹에 추가하고 대상 네트워크 리소스를 준비한 뒤 소스 그룹, 대상 리소스, `TCP`, 포트 `443`, 「Accept」로 정책을 만듭니다. 저장과 활성화를 확인한 후 시험 노드와 의도한 소스 밖의 노드에서 각각 시험합니다. 이는 기본 정책이 아니며 다른 정책, 경로, 서비스와 방화벽도 결과에 영향을 줍니다.

**옵션 변경 후 재확인:** 프로토콜을 `TCP` 또는 `UDP`에서 `ALL` 또는 `ICMP`로 전환하면 입력한 포트와 범위가 지워집니다. `TCP` 또는 `UDP`로 되돌려도 자동 복원되지 않으며 빈 포트는 모든 포트를 의미합니다. 출발지나 대상 유형을 바꾸면 해당 측의 선택 항목도 지워집니다. 네트워크 리소스를 대상으로 선택하면 방향이 출발지에서 대상으로 변경되므로 다른 유형으로 되돌린 후 이전 양방향 설정이 복원되었다고 가정하지 마십시오. 저장 전 객체를 다시 선택하고 프로토콜, 포트와 방향을 확인하여 접근 범위가 의도치 않게 확대되거나 변경되지 않도록 합니다.

**여러 정책 중첩:** 같은 출발지, 대상, 프로토콜과 포트가 여러 허용 또는 거부 정책에 동시에 일치할 수 있습니다. 예를 들어 한 엔드포인트가 허용 그룹과 제한 그룹에 모두 속하면 두 그룹의 구성원, 방향, 포트와 보안 검사를 확인하고 해당 엔드포인트에서 새 연결을 테스트합니다. 정책 목록 순서나 한 규칙만으로 결과를 판단하지 말고 가능한 경우 상충하는 중첩을 줄이며 경로와 대상 측 제어도 함께 검증합니다.

**네트워크 오류 정보:** 일부 엔드포인트 처리 경로에서는 관련 접근 정책이 거부하더라도 대상 도달 불가나 시간 초과 응답 같은 특정 ICMP 오류 메시지가 허용될 수 있습니다. 거부 정책이 모든 네트워크 제어 메시지를 차단한다고 생각하거나 해당 응답만으로 업무 서비스에 접근할 수 있다고 판단하지 마십시오. 실제 플랫폼에서 업무 연결과 통제 요구를 각각 검증합니다.

## 네트워크 경로와 함께 사용

정책은 조건에 맞는 접근을 제어하고 경로는 대상으로 가는 길을 제공합니다. 라우팅 노드를 통한 접근에서는 노드, 경로 적용 범위 및 정책 소스, 대상, 프로토콜과 포트를 함께 확인합니다. 경로 배포는 접근 제어 검증을 대신하지 않습니다.

**중요:** 경로의 「Policy Target Groups」를 비워두면 기본 허용 규칙이 생성되며 기본 거부가 아닙니다. 접근을 제한하려면 경로에서 대상 그룹을 선택하고 활성 정책이 동일한 그룹과 의도한 소스를 선택하는지 확인합니다. 경로의 나머지 필수 설정을 완료하고 허용 및 비허용 엔드포인트에서 각각 시험합니다.

Effective Scope는 라우트를 수신할 단말을 제어할 뿐 위 기본 허용 규칙의 출처를 해당 단말로 제한하지 않습니다. 기본 규칙은 일치하는 전달 트래픽을 출처, 프로토콜 또는 포트로 좁히지 않습니다. 실제 도달 여부는 연결, 다른 제어와 대상 네트워크에도 좌우됩니다. 배포 범위만으로 접근을 격리하지 말고 정책 대상 그룹을 선택하여 다른 경로도 각각 시험합니다.

**기존 연결 확인:** 정책을 강화하거나 거부 규칙을 추가한 후 노드가 업데이트를 받았더라도 기존 세션이 모두 즉시 중단된다고 가정하지 마십시오. 일부 연결 및 라우팅 경로에서는 이미 설정된 연결이 계속될 수 있으며, 동작은 엔드포인트 플랫폼, 연결 상태 및 다른 제어에 따라 달라집니다. 변경 전 진행 중인 업무를 평가하고 승인된 시험 환경에서 기존 세션과 변경 후 새 연결을 각각 확인하십시오. 즉시 종료해야 한다면 조직의 사고 대응 절차에 따라 별도 조치를 취하고 검증하며, 정책 저장 성공에만 의존하지 마십시오.

## 검증, 변경 및 문제 해결

1.  정책 활성 상태, 소스와 대상의 존재, 그룹 구성원, 관련 노드의 연결 및 구성 수신을 확인합니다. 저장, 배포와 실제 적용은 서로 다른 상태입니다.
2.  프로토콜, 포트와 방향을 확인합니다. 네트워크 리소스가 대상이면 리소스, 라우팅 노드, 대상 네트워크와 서비스 및 반환 경로도 확인합니다.
3.  허용 소스와 비허용 소스를 각각 시험합니다. 한 번의 접근 성공이나 저장 성공만으로 전체 보안 경계가 검증되지는 않습니다.
4.  결과가 다르면 다른 정책, 경로의 기본 허용 규칙, 선택한 보안 검사와 대상 방화벽을 확인합니다. 시험 대상, 결과와 화면 메시지를 기록해 권한 있는 관리자에게 조사를 요청합니다.
5.  정책 비활성화·삭제나 구성원 변경 전에 참조와 영향을 확인하고 기존 설정을 기록하여 조직 절차를 따릅니다. 변경 후 업무와 제한을 다시 검증합니다. 정책 목록에서 대상을 찾습니다. 행의 「Edit」으로 수정하고 저장하며, 상태 스위치로 비활성화하거나 다시 활성화합니다. 「Delete」를 선택하면 확인 창에서 다시 확인합니다. 작업할 수 없으면 권한과 처리 중 여부를 확인합니다. 비활성 정책은 이후 구성 계산에서 제외됩니다. 허용 정책을 꺼도 다른 경로가 차단된다는 보장은 없고, 거부 정책을 끄면 접근 범위가 넓어질 수 있습니다. 다시 불러와 상태를 확인하고 기존 세션과 새 연결을 각각 시험하십시오. 상세 정보를 불러오지 못하면 빈 정책으로 간주하거나 바로 삭제하지 말고 관리자에게 확인하십시오.

-   [접근 그룹](https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/access-control/access-groups/)
-   [접근 정책 보안 검사](https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/access-control/security-checks/)